Habe mir die von dir verlinkten PCI-Richtlinien eben mal angeschaut und halte die nicht nur für erfüllbar sondern finde, die könnten ruhig etwas restriktiver sein und mehr ins Detail gehen. Wenn du es für unmöglich hältst, diese Richtlinien einzuhalten, solltest du erst gar nicht mit Kreditkartendaten arbeiten.

Gespeichert werden Kreditkartendaten von allen Webshops, bei denen man diese nicht bei jeder Bestellung neu eingeben muss. Vollständig angezeigt werden diese allerdings nie. Auch den eigenen Angestellten gegenüber nicht! Wenn ich bei Amazon in meine Einstellungen gehe, bekomme ich meine Kreditkartennummer im Format ***************12345 angezeigt, sowie das Datum bis wann diese Karte gültig ist. Auf keinen Fall aber die Prüfziffer.

Dass der Administrator, der auf der Datenbank arbeitet, diese Daten einsehen kann, lässt sich schlecht verhindern. Daher müssen diese Personen besonders geschult sein und für die Problematik sensibel gemacht werden. Außerdem muss jeder Zugriff auf diese Daten personenbezogen protokolliert werden.

Wie renee schon geschrieben hat, ist das hier aber keine Rechtsberatung sondern nur meine Ansicht zu dem Thema.